Données des enfants, secret partagé, photos : ce que l'EJE a le droit de faire

On l'oublie souvent : l'éducateur de jeunes enfants est l'un des professionnels qui manipulent les informations les plus sensibles qui soient. Dans un dossier d'enfant figurent l'identité et les coordonnées des parents, la situation familiale, parfois une séparation conflictuelle ou une mesure de protection, des données de santé (allergies, traitements, protocole d'accueil individualisé), des observations sur le développement de l'enfant.

Le RGPD classe une partie de ces informations parmi les « catégories particulières » de données — la santé en particulier — soumises à une protection renforcée. Les manipuler suppose une base légale claire, une finalité précise, une durée de conservation limitée et des mesures de sécurité proportionnées.

Pour un EJE en structure, ce cadre est généralement porté par l'employeur. Mais en libéral ou en micro-crèche, vous devenez vous-même responsable de traitement : c'est à vous d'organiser la collecte, la sécurité et la conservation de ces données. Une responsabilité que beaucoup découvrent au moment d'un incident.

La question revient sans cesse : ai-je le droit de transmettre des informations sur un enfant à la PMI, à l'ASE, à un autre professionnel ? La réponse tient dans une notion clé : le secret partagé.

Le principe est simple à formuler, exigeant à appliquer. Vous pouvez partager une information confidentielle uniquement si trois conditions sont réunies :

• L'utilité : l'information doit être strictement nécessaire à la mission de la personne qui la reçoit.
• L'habilitation : le destinataire doit être un professionnel concerné, intervenant légitimement auprès de l'enfant ou de la famille.
• L'information des parents : sauf exception légale, les titulaires de l'autorité parentale doivent être informés du partage.

Transmettre par habitude, par confort ou « pour bien faire » au-delà de ce périmètre constitue une atteinte à la confidentialité, susceptible d'être reprochée par une famille. À l'inverse, certaines situations imposent un signalement : un enfant en danger doit être signalé aux autorités compétentes, et la loi protège alors le professionnel qui agit de bonne foi. Connaître la frontière entre confidentialité et obligation de signalement est au cœur du métier.

Photos d'activités, vidéos d'éveil, affichage dans la structure, page d'un réseau social, album partagé avec les familles : l'image des enfants circule beaucoup, et c'est l'un des terrains les plus glissants.

La règle est ferme. L'image d'un mineur relève du droit à l'image et de la vie privée. Toute diffusion suppose l'autorisation écrite des titulaires de l'autorité parentale — souvent les deux parents. Quelques points que beaucoup ignorent :

• Le contrat d'accueil ne vaut pas autorisation de diffusion : il faut un consentement spécifique, distinct, pour l'image.
• L'autorisation doit préciser les supports concernés (affichage interne, site, réseaux) ; un accord pour un trombinoscope interne ne couvre pas une publication en ligne.
• Le consentement peut être retiré à tout moment ; il faut alors cesser la diffusion.
• En cas de séparation, l'accord d'un seul parent peut être insuffisant si l'autre s'y oppose.

Une photo d'un enfant publiée sans autorisation valable, et c'est une réclamation de la famille, parfois doublée d'une plainte auprès de l'autorité de contrôle. Le préjudice n'est pas seulement financier : il touche la confiance qui fonde votre activité.

Les obligations ne s'arrêtent pas au consentement. Vous devez aussi protéger les données que vous détenez. Or les incidents sont fréquents et souvent banals :

• Un ordinateur ou un téléphone professionnel volé contenant des dossiers d'enfants.
• Une clé USB perdue avec des données de santé.
• Un logiciel de gestion piraté, des messageries compromises.
• Un envoi d'e-mail groupé exposant les coordonnées de toutes les familles.

En cas de violation de données personnelles, le responsable de traitement a des obligations précises : documenter l'incident, le notifier à l'autorité de contrôle dans les délais lorsque le risque l'exige, et informer les personnes concernées si l'atteinte est susceptible d'engendrer un risque élevé. Gérer cela seul, dans l'urgence, est extrêmement difficile.

C'est précisément là qu'intervient une assurance cyber : elle finance l'assistance technique pour contenir l'incident, l'accompagnement juridique pour respecter vos obligations de notification, la communication auprès des familles et la prise en charge des réclamations. Pour un professionnel détenant des données d'enfants, ce n'est pas un gadget mais une réponse adaptée à une exposition réelle.

Le respect de ce cadre ne tient pas à de longs protocoles, mais à quelques habitudes solides :

1. Collecter le minimum : ne demandez que les informations utiles à l'accueil, et conservez-les le temps nécessaire.
2. Sécuriser : mots de passe, postes verrouillés, sauvegardes, accès limités aux personnes habilitées.
3. Formaliser les consentements : un document d'autorisation à l'image distinct, précisant supports et durée, révocable.
4. Cadrer le partage : ne transmettre que l'utile, aux seuls professionnels habilités, en informant les parents.
5. Anticiper l'incident : savoir qui appeler et quelles obligations respecter en cas de fuite, via une garantie cyber.

Un éducateur de jeunes enfants qui maîtrise ces réflexes protège à la fois les familles, les enfants et sa propre responsabilité. Pour replacer ces obligations dans l'ensemble des risques du métier, consultez la page assurance éducateur de jeunes enfants.